Umowa powierzenia przetwarzania danych (AVV)

Umowa o przetwarzaniu danych osobowych na zlecenie, zawarta między klientem jako administratorem a Zerovia GmbH jako podmiotem przetwarzającym.

Wstęp

Niniejsza umowa powierzenia przetwarzania danych („AVV” lub „Umowa”) stanowi część Warunków korzystania oraz Warunków abonamentu zawartych między klientem („Klient” lub „Administrator”) a Zerovia GmbH, Via Casti 52, 7151 Schluein, Szwajcaria („ZEROvia” lub „Podmiot przetwarzający”), zwanymi łącznie „Stronami”.

Mając na uwadze, że

• Klient korzysta z platformy ZEROvia i przy tym wprowadza dane osobowe, w odniesieniu do których działa jako administrator;
• ZEROvia przetwarza te dane osobowe wyłącznie na zlecenie Klienta i zgodnie z jego udokumentowanymi poleceniami;
• Strony chcą określić warunki tego przetwarzania zgodnie z art. 9 szwajcarskiej ustawy o ochronie danych („DSG”) oraz art. 28 rozporządzenia (UE) 2016/679 („RODO”);
• przetwarzanie, za które sama ZEROvia ponosi odpowiedzialność (w szczególności strona internetowa, administracja klientami i rozliczenia zgodnie z polityką prywatności), nie podlega niniejszej umowie,

Strony uzgadniają, co następuje:

Artykuł 1 · Definicje

1.1 „Umowa” oznacza niniejszą AVV wraz z załącznikami 1 do 3. „Dane osobowe klienta” to dane osobowe, które ZEROvia przetwarza na zlecenie Klienta w związku z Usługami (załącznik 1). „Przepisy o ochronie danych” oznaczają DSG wraz z rozporządzeniem DSV, RODO oraz inne obowiązujące przepisy. „Usługi” oznaczają cyfrowe usługi ZEROvia zgodnie z Warunkami korzystania i Warunkami abonamentu, w szczególności platformę zerovia.app. „Podmiot przetwarzający dalej” oznacza każdą osobę, która przetwarza dane osobowe klienta na zlecenie ZEROvia lub w jej imieniu.

1.2 Pojęcia takie jak „administrator”, „osoba, której dane dotyczą”, „dane osobowe”, „naruszenie bezpieczeństwa danych” i „przetwarzanie” mają znaczenie nadane im przez DSG, względnie RODO.

Artykuł 2 · Przedmiot, charakter, cel i czas trwania

2.1 ZEROvia przetwarza dane osobowe klienta wyłącznie w celu świadczenia Usług zgodnie z umową główną (Warunki korzystania i Warunki abonamentu oraz ewentualne ustalenia indywidualne).

2.2 Przedmiot, charakter i cel przetwarzania, kategorie osób, których dane dotyczą, oraz kategorie danych osobowych określono w załączniku 1.

2.3 Czas trwania odpowiada okresowi obowiązywania umowy głównej, powiększonemu o terminy określone w artykule 10.

2.4 Kampanie danych. Jeżeli Klient jako kupujący zaprasza dostawców do korzystania z Usług, jest administratorem danych kontaktowych, które importuje, oraz przetwarzania udostępnionych danych na swoim koncie. ZEROvia przetwarza te dane jako podmiot przetwarzający kupującego. Dostawca odpowiada za dane, które wprowadza i udostępnia na własnym koncie; dla tych danych obowiązuje jego własna umowa z ZEROvia.

Artykuł 3 · Polecenia

3.1 ZEROvia przetwarza dane osobowe klienta wyłącznie na udokumentowane polecenie Klienta, chyba że jest prawnie zobowiązana do innego przetwarzania; w takim przypadku informuje o tym Klienta z wyprzedzeniem, o ile prawo tego nie zakazuje.

3.2 Udokumentowanymi poleceniami są umowa główna oraz korzystanie z Usług i ich konfiguracja przez Klienta, w tym role, uprawnienia, udostępnienia i zgody.

3.3 ZEROvia niezwłocznie informuje Klienta, jeżeli jej zdaniem polecenie narusza przepisy o ochronie danych, i może wstrzymać wykonanie polecenia oczywiście bezprawnego.

Artykuł 4 · Obowiązki ZEROvia

4.1 ZEROvia zobowiązuje się:

4.1.1 przestrzegać mających zastosowanie przepisów o ochronie danych;

4.1.2 przetwarzać dane osobowe klienta wyłącznie zgodnie z poleceniem i wyłącznie w celu świadczenia Usług;

4.1.3 nie wykorzystywać danych osobowych klienta do własnych celów, w szczególności do trenowania modeli AI udostępnianych osobom trzecim; zanonimizowanych danych zbiorczych ZEROvia używa do wewnętrznego doskonalenia wyłącznie po wyraźnej zgodzie (opt-in) Klienta;

4.1.4 zobowiązać wszystkie osoby upoważnione do przetwarzania do zachowania poufności;

4.1.5 ograniczać dostęp do danych osobowych klienta do osób, które potrzebują ich do wykonywania swoich zadań; dostęp supportu i zespołu deweloperskiego do danych klienta odbywa się wyłącznie z udokumentowanym uzasadnieniem, na określony czas i z rejestrowaniem;

4.1.6 wdrażać środki techniczne i organizacyjne zgodnie z artykułem 5;

4.1.7 o ile jest to dopuszczalne, informować Klienta o wiążących żądaniach organów publicznych dotyczących jego danych osobowych oraz ograniczać ujawnienie do tego, co jest prawnie wymagane.

Artykuł 5 · Środki techniczne i organizacyjne

5.1 ZEROvia podejmuje, uwzględniając stan wiedzy technicznej, koszty oraz charakter, zakres i cel przetwarzania, odpowiednie środki zapewniające poziom bezpieczeństwa odpowiadający ryzyku (art. 8 DSG w związku z art. 1 i nast. DSV; art. 32 RODO).

5.2 Środki opisano w załączniku 2. Część środków infrastrukturalnych zapewniają podmioty przetwarzające dalej, w szczególności Infomaniak, co ZEROvia ma zagwarantowane umownie.

5.3 ZEROvia stale weryfikuje i doskonali środki i może je dostosowywać, o ile poziom ochrony nie ulega obniżeniu.

Artykuł 6 · Podmioty przetwarzające dalej

6.1 Klient udziela ZEROvia ogólnej zgody na korzystanie z podmiotów przetwarzających dalej. Podmioty przetwarzające dalej są wymienione w załączniku 3, prowadzonym pod adresem zerovia.ch/unterauftragsverarbeiter/.

6.2 ZEROvia informuje Klienta co najmniej 30 dni przed zatrudnieniem lub zmianą podmiotu przetwarzającego dalej, e-mailem oraz na tej stronie. Klient może w ciągu 30 dni z ważnego powodu związanego z ochroną danych wnieść sprzeciw na piśmie (wystarczy e-mail). Jeżeli sprzeciw uniemożliwia dalsze świadczenie usługi, każda ze Stron może wypowiedzieć dotyczącą ją usługę.

6.3 ZEROvia zobowiązuje każdy podmiot przetwarzający dalej umownie do przestrzegania co najmniej równoważnych obowiązków ochrony danych i pozostaje wobec Klienta odpowiedzialna za ich przestrzeganie.

Artykuł 7 · Prawa osób, których dane dotyczą

7.1 ZEROvia wspiera Klienta, w zakresie technicznie możliwym, w udzielaniu odpowiedzi na wnioski osób, których dane dotyczą.

7.2 Jeżeli osoba, której dane dotyczą, skieruje wniosek do ZEROvia, ZEROvia niezwłocznie przekazuje go Klientowi i odpowiada na niego wyłącznie na polecenie Klienta lub jeżeli jest do tego prawnie zobowiązana.

Artykuł 8 · Wsparcie Klienta

8.1 ZEROvia wspiera Klienta w zakresie bezpieczeństwa danych, zgłaszania naruszeń bezpieczeństwa danych, oceny skutków dla ochrony danych oraz uprzednich konsultacji z organem nadzorczym, o ile informacje są dostępne u ZEROvia.

Artykuł 9 · Naruszenia bezpieczeństwa danych

9.1 ZEROvia zgłasza Klientowi naruszenie bezpieczeństwa dotyczące danych osobowych klienta jak najszybciej, najpóźniej w ciągu 48 godzin od jego wykrycia, i udostępnia informacje potrzebne Klientowi do jego własnych zgłoszeń.

9.2 ZEROvia współpracuje z Klientem i podejmuje odpowiednie działania w celu zbadania, ograniczenia i usunięcia naruszenia.

9.3 Zgłoszenie kierowane jest na adres kontaktowy zapisany na koncie lub do kontaktu ds. ochrony danych Klienta; po stronie ZEROvia na adres privacy@zerovia.ch.

Artykuł 10 · Usunięcie i zwrot danych

10.1 Według wyboru Klienta ZEROvia usuwa lub zwraca dane osobowe klienta po zakończeniu Usług, najpóźniej w ciągu 30 dni od zakończenia, o ile nie istnieje ustawowy obowiązek ich przechowywania.

10.2 Klient przed zakończeniem dokonuje niezbędnych eksportów; ZEROvia wspiera go w tym w zakresie technicznie możliwym.

10.3 ZEROvia na żądanie potwierdza usunięcie danych na piśmie.

Artykuł 11 · Dowody i audyty

11.1 ZEROvia udostępnia informacje niezbędne do wykazania przestrzegania przepisów.

11.2 Jeżeli nie są one wystarczające, ZEROvia umożliwia Klientowi lub audytorowi zobowiązanemu do zachowania poufności kontrole na rozsądnych warunkach i po odpowiednim wcześniejszym powiadomieniu, bez narażania bezpieczeństwa innych klientów. Uzasadnione dodatkowe koszty mogą zostać Klientowi zafakturowane.

Artykuł 12 · Przekazywanie danych za granicę

12.1 Dane osobowe klienta są przetwarzane przede wszystkim w Szwajcarii (hosting u Infomaniak w Genewie). Przetwarzanie AI odbywa się od 01.12.2026 w UE. Między Szwajcarią a UE lub EOG istnieje wzajemnie uznany odpowiedni poziom ochrony; takie przekazania nie wymagają dodatkowych gwarancji.

12.2 Przekazywanie danych podmiotom przetwarzającym dalej w innych państwach odbywa się wyłącznie z zastosowaniem odpowiednich gwarancji, w szczególności standardowych klauzul umownych Komisji Europejskiej z dostosowaniami uznanymi przez EDÖB, uzupełnionych o Transfer Impact Assessment oraz środki techniczne ochrony, lub, w przypadku certyfikowanych odbiorców, na podstawie Swiss-U.S. Data Privacy Framework. Załącznik 3 wskazuje mechanizm dla każdego podmiotu przetwarzającego dalej.

Artykuł 13 · Odpowiedzialność

13.1 Odpowiedzialność określa umowa główna. Wobec osób, których dane dotyczą, oraz organów nadzorczych obowiązuje podział odpowiedzialności zgodnie z art. 82 RODO, względnie z przepisami DSG.

Artykuł 14 · Czas obowiązywania i pierwszeństwo

14.1 Niniejsza umowa obowiązuje wraz z umową główną oraz w okresie po jej zakończeniu zgodnie z artykułem 10.

14.2 W sprawach powierzenia przetwarzania niniejsza umowa ma pierwszeństwo przed Warunkami korzystania i Warunkami abonamentu. W pozostałym zakresie obowiązuje następująca kolejność: ustalenia indywidualne, Warunki abonamentu, niniejsza AVV, Warunki korzystania.

14.3 Zmiany wymagają formy tekstowej. Jeżeli któreś z postanowień jest nieskuteczne, pozostałe zachowują moc.

Artykuł 15 · Prawo właściwe i jurysdykcja

15.1 Wyłącznie prawo szwajcarskie ma zastosowanie.

15.2 Miejscem jurysdykcji jest Chur (GR).

Niniejsza umowa wchodzi w życie elektronicznie wraz z zawarciem umowy głównej i jest ważna bez podpisu. W przypadku dużych klientów może zostać dodatkowo podpisana.

Załącznik 1 · Szczegóły przetwarzania

Aspekt	Opis
Przedmiot	Udostępnienie platformy zerovia.app: profil i udostępnianie, raporty i klimat, CO₂ produktu, zapytania klientów, dostawcy i kampanie danych, dostęp partnerów
Charakter przetwarzania	Zbieranie, rejestrowanie, przechowywanie, strukturyzowanie, odczytywanie z użyciem AI, tworzenie tekstów z użyciem AI, wyświetlanie, przekazywanie po zatwierdzeniu przez klienta, wysyłanie e-maili w imieniu kupującego, usuwanie
Cel	Wyłącznie świadczenie usług zleconych przez klienta
Osoby, których dane dotyczą	Użytkownicy i pracownicy klienta; osoby kontaktowe w profilu; osoby kontaktowe dostawców klienta, także w kampaniach danych; osoby wymienione w przesłanych dokumentach lub w publicznych źródłach internetowych używanych w screeningu dostawców
Dane osobowe	Dane kontaktowe i podstawowe (imię i nazwisko, funkcja, służbowy e-mail, telefon), dane konta i użytkowania, dane logów, treści przesłanych dokumentów, zdarzenia wysyłki i kliknięć w zaproszeniach. Szczególnie chronione dane osobowe wyłącznie o tyle, o ile wprowadza je klient; zgodnie z Warunkami korzystania nie powinno to mieć miejsca
Czas trwania	Okres obowiązywania umowy głównej wraz z terminami z artykułu 10

Załącznik 2 · Środki techniczne i organizacyjne

Kategoria	Realizacja
Wejście	Działanie w centrach danych Infomaniak w Szwajcarii, z ograniczonym dostępem i fizycznymi środkami bezpieczeństwa
Dostęp do systemów	Logowanie dwuskładnikowe jako standard, z kodami odzyskiwania; blokada po nieudanych próbach; zasady dotyczące haseł; obowiązkowe uwierzytelnianie dwuskładnikowe dla administratorów
Uprawnienia	Role i uprawnienia (właściciel, administrator, członkowie; Category Manager wyłącznie do odczytu); zasada minimalnych uprawnień; dostęp supportu do danych klienta wyłącznie z uzasadnieniem, w określonym terminie i z protokołem
Rozdzielenie	Logiczne rozdzielenie mandantów klientów; udostępnianie osobno dla każdego klienta i każdej sekcji
Szyfrowanie	Szyfrowana transmisja (TLS) i szyfrowanie danych w spoczynku zgodnie z aktualnym stanem techniki
AI	Brak wykorzystywania danych klientów do trenowania publicznych modeli; dostawcy AI w UE od 01.12.2026; propozycje ze źródłem, zatwierdzane przez klienta
Identyfikowalność	Dziennik zmian (audit log), rejestrowanie zdarzeń istotnych dla bezpieczeństwa oraz dostępów administracyjnych
Dostępność	Redundantne przechowywanie i regularne kopie zapasowe u Infomaniak; procesy odtwarzania
Incydenty	Proces wykrywania, zgłaszania i usuwania naruszeń bezpieczeństwa danych (artykuł 9)
Kontrola	Kontrole wewnętrzne i zewnętrzne testy bezpieczeństwa; ISO 27001 w przygotowaniu
Kontrola zleceń	Umowne zobowiązanie podmiotów przetwarzających dalej do równoważnych obowiązków
Usuwanie	Procesy usuwania i przechowywania zgodnie z artykułem 10
Personel	Zobowiązanie do zachowania poufności wszystkich osób mających dostęp

Załącznik 3 · Podmioty przetwarzające dalej

Zatwierdzone podmioty przetwarzające dalej, z siedzibą, celem i mechanizmem przekazywania, znajdują się na stronie Podmioty przetwarzające dalej, wraz z historią zmian.

Przedstawiciel w UE (art. 27 RODO): iuro Rechtsanwälte GmbH t/a Prighter, Schellinggasse 3, 1010 Wiedeń, Austria, privacy@zerovia.ch. Właściwym organem nadzorczym w Szwajcarii jest Federalny Komisarz ds. Ochrony Danych i Informacji (EDÖB), Berno.